Adgangstokens

Adgangstokens er digitale referencer, der bruges til at give en klient adgang til beskyttede resurser i et system eller en API. De udstedes normalt af en autorisationsserver efter at en enhed eller en bruger er blevet autentificeret, og bruges ved hver anmodning til en ressource-server for at bevise rettigheder. Tokens kan være enkle identifikationstokens eller strukturerede som JSON Web Tokens (JWT), der indeholder oplysninger om udsteder, subjekt, målgruppe og udløbstid. I praksis anvendes adgangstokens som erstatning for at gemme følsomme sessiondata hos klienten.

Sådan fungerer det typisk: Klienten gennemgår en godkendelsesproces hos autorisationsserveren og får et adgangstoken. Tokenet sendes i HTTP-anmodninger i headeren Authorization: Bearer <token>. Ressource-serveren validerer tokenet ved at kontrollere signaturen, målgruppen, udløbstiden og de medfølgende rettigheder (scopes). Adgangstokens har ofte kort levetid, og der bruges et refresh-token til at få et nyt adgangstoken uden yderligere brugerinteraktion.

Typer og karakteristika: Bearer-tokens kræver ikke yderligere præsentation ved hver anmodning. JWT’er er tokenstrukturer, der kan indeholde claims om identitet og rettigheder. Opaque tokens er tokens, hvis indhold ikke kan aflæses uden en introspection-tjeneste. Det er almindeligt at skelne mellem adgangstokens og refresh-tokens i lifecycles og sikkerhedsvurderinger.

Sikkerhed og praksis: Mistede tokens kan give uautoriseret adgang, derfor anvendes TLS, sikker opbevaring på klienten, mindste privilegier og korte levetider. Rotering af tokens, PKCE for offentlige klienter, og muligheden for tilbagekaldelse eller token-introspektion er vigtige sikkerhedsforanstaltninger.

Anvendelse: Adgangstokens er centrale i standarder som OAuth 2.0 og OpenID Connect og bruges til kontrolleret adgang til API’er og mikro-tjenester.